SMM Callout, una serie de vulnerabilidades que afectan a AMD

Hace poco AMD anuncio el trabajo que realizo para poder corregir una serie de vulnerabilidades que afectan a sus productos. Las vulnerabilidades fueron descubiertas por el investigador de seguridad Danny Odler, que en su informe da a conocer que los fallos residen en la Mini PC de AMD que podría permitir a los atacantes manipular firmware seguro y ejecutar código arbitrario.

Esta serie de vulnerabilidades fueron nombradas como “SMM Callout» (CVE-2020-12890) y en la investigacion de los fallos se muestra la explotación completa de 1 de las 3 vulnerabilidades que fueron halladas en la imagen UEFI.

SMM Callout permite obtener control sobre el firmware UEFI y ejecutar código a nivel de SMM (Modo de administración del sistema). Un ataque requiere acceso físico al equipo o acceso a un sistema con derechos de administrador.

En caso de un ataque exitoso, un atacante puede usar la interfaz AGESA (Arquitectura de Software Encapsulado Genérico AMD) para ejecutar código arbitrario que no puede ser detectado desde el sistema operativo.

Las vulnerabilidades están presentes en el código incluido en el firmware UEFI, ejecutado en el modo SMM (Anillo -2), que es más prioritario que el modo hipervisor y el anillo de protección cero, y que tiene acceso ilimitado a toda la memoria del sistema.

Cuando el código se ejecuta en SMM, se puede acceder a toda la memoria física y nada puede impedir que sobrescriba datos críticos en las páginas físicas del kernel o del hipervisor. El código SMM actúa como una especie de mini OS: tiene servicios de E/S, servicios de asignación de memoria, capacidad de asignar interfaces privadas, gestión de interrupciones SMM, notificaciones de eventos y más.

Para resumir: el código SMM es el código ejecutado más privilegiado en la CPU, el código está completamente oculto del sistema operativo en ejecución, no puede ser modificado por el núcleo e incluso por los dispositivos DMA y el código SMM más importante puede acceder a cualquier memoria física.

Por ejemplo, después de obtener acceso al sistema operativo como resultado de la explotación de otras vulnerabilidades o métodos de ingeniería social, un atacante puede usar vulnerabilidades de SMM Callout para evitar el modo de arranque seguro (UEFI Secure Boot), introducir código malicioso o rootkits invisibles para el sistema en SPI Flash, y también para ataques a hipervisores para evitar los mecanismos de comprobación de integridad de entornos virtuales.

 

«AMD conoce nuevas investigaciones relacionadas con una posible vulnerabilidad en la tecnología de software AMD suministrada a los fabricantes de placas base para su uso en su infraestructura de interfaz de firmware extensible unificada (UEFI) y planea completar la entrega de versiones actualizadas diseñadas para mitigar el problema a fines de junio 2020. » se lee el anuncio de AMD.

“El ataque dirigido descrito en la investigación requiere acceso físico o administrativo privilegiado a un sistema basado en una computadora portátil AMD o procesadores integrados. Si se adquiere este nivel de acceso, un atacante podría manipular potencialmente la Arquitectura de software encapsulada genérica (AGESA) de AMD para ejecutar código arbitrario sin ser detectado por el sistema operativo «.

Las vulnerabilidades se deben a un error en el código SMM debido a la falta de verificación de la dirección del búfer de destino cuando se llama a la función SmmGetVariable () en el controlador 0xEF SMI.

Debido a este error, un atacante puede escribir datos arbitrarios en la memoria SMM interna (SMRAM) y ejecutarlo como un código con derechos SMM. AMD señaló que solo ciertos procesadores lanzados entre 2016 y 2019 están afectados por la vulnerabilidad.

«SMM es el código más privilegiado que se puede ejecutar en la CPU x86, lo que permite atacar cualquier componente de bajo nivel, incluidos Kernel e Hypervisor». lee el análisis publicado por Odler.

El proveedor de chips ya ha entregado la mayoría de las versiones actualizadas de AGESA a sus socios. AMD recomienda a los usuarios que mantengan sus sistemas actualizados instalando los últimos parches.

Si quieres conocer mas al respecto, puedes consultar el informe dirigiendote al siguiente enlace.

Fuente: https://medium.com